PT-2020-21045 · Veval · Veval
Publicado
2020-09-04
·
Atualizado
2020-09-04
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas
Versões do
veval (versões afetadas não especificadas)Descrição
A vulnerabilidade permite a fuga da sandbox, levando à execução remota de código. O pacote
veval não restringe o acesso ao contexto principal por meio de this.constructor.constructor. Isso pode permitir que invasores executem código arbitrário no sistema. Por exemplo, avaliar a carga útil this.constructor.constructor(‘return process.env’)() pode imprimir o conteúdo de process.env.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Veval